Personal Agent 调研报告：它是什么、现状如何、该怎么选

用户发一句话，软件回一句话。

用户设好每天几点，系统按时推送一份简报。

新邮件到了、网页价格变了，系统自己醒来检查。

软件做完一轮后判断「半小时后再看一次」。

目标有明确的完成标准，动作要经独立批准才会发生。

闹钟：谁把它叫醒

系统得先有办法被叫醒。时间点、新邮件或者网页变化，都可以充当闹钟。

值班室：活儿在哪儿继续

被叫醒之后，得有个地方让它继续干活。这个后台房间必须一直开着，关掉手机或电脑上的界面不能影响它。

门卫：谁来放行

最后还要有人决定：这次是只发一条消息，还是真的替用户把邮件发出去。两者的代价完全不同。

第一条路：发一条消息

这条路消耗的是人的注意力。消息发错了，用户读到的是一条莫名其妙的提醒；如果这种情况出现几次，用户会直接关掉通知，之后真正重要的消息也送不进去。

所以它只在三种情况下放行：事情真的变了、有一件事必须等人拍板、或者有一份人能用上的结果。

第二条路：真的去做一件事

这条路消耗的是权限、账号和钱。邮件一旦发出去就收不回来，日程一旦改掉就可能让别人白跑一趟，因此默认姿态应当是「先不做」。

只有在独立规则明确放行、并且权限与这次动作一一对应时，系统才可以动手。

先确认触发来自时间点或真实事件。没有推送来源时才允许定时去查，而且要限制查询频率。

系统把这一次看到的内容和上次做个确定的比较，没有变化就直接停下来，连模型都不必叫醒。

只有「需要人行动」「结果能用」「需要批准」三种情况可以放行。「我有个建议」应当默认关闭。

系统会记住上次报过什么，也限制同一件事反复提醒、限制夜间打扰和单项目触发次数。

发消息、写文件、访问外部服务，一律先设为禁止，再按具体任务逐项放开。

模型只拿着一串引用编号，真正的凭证由边界替它填进去，日志里也只留编号。

用户同意的范围精确到「给某人发这封邮件」，一次之后就作废。

确认框不出现在聊天窗口里，用户点下的「同意」也不经过模型转达。

系统把做过的事和打算做的事都记进不可篡改的流水账，用户随时能查。

数据来自 CaMeL 论文在一组公开测试集上的报告。它的做法是把用户交代的事先写成固定流程，让外部内容只能填数据、不能改流程。

这组数字说明什么

把判定权移出模型，软件会少完成一些任务，这是换取安全性付出的代价。本报告的建议是按事情的后果分级：读一份公开网页可以宽松，发一封邮件就必须严格，不必对所有任务一刀切。

该论文的代码由作者标为研究工件，作者也说明不打算长期维护，因此它的价值主要在思路；产品里需要另找有维护承诺的实现。

Meta 把它描述成「把事情做完」的软件：用户说清目标，它自己拆步骤、跨应用执行，用户关掉应用之后仍继续工作，遇到敏感动作会回来请示。

一位安全研究者公开演示：电脑上的普通程序可以偷偷改动客户端的一项设置，把语音数据和登录凭证导向别处。问题出在高权限的桌面软件，云端隔离并没有被攻破，Meta 随后发布了修补。

Meta 推出了强调长任务不放弃、跨会话带记忆的新模型，也以开源许可发布了一款面向本地运行的模型，官方建议配备 24–32 GB 显存的设备。

公开资料里没有给出中国大陆的可用性与合规状态，本报告对此不作推断。

Meta 自己承认的三件事

• 公司在安全文章里直说：提示注入仍是整个行业没解决的问题，Muse 也挡不住所有攻击。
• 公司为有效的漏洞报告开出最高 30 万美元赏金，其中「成功骗过系统影响单个用户」最高 13 万美元。
• 目前限制内部员工接触用户数据靠的是管理制度；「连厂商也看不到」的机密虚拟机仍写在后续计划里。

两起公开报道的事故

一位用户两天没打开应用，却收到助手主动发来的消息，声称「邮箱没连上、找不到那封邮件」。Meta 向媒体确认这是产品缺陷造成的凭空生成，与隐私无关；修补之后那位用户仍然弃用了产品。主动消息报错一次，信任就可能归零。

另有第三方报道提到，系统曾被发现在后台定期为「用户生活中的每个人」建立档案，被建档的人没有使用这个产品，也没有拒绝的机会。用户看不见的后台工作，感受上更接近监视。

组合方式一：先跑通

用现成成熟度较高的组件拼出效果，适合先验证「这类系统到底有没有用」。代价是几套进程并存，升级节奏各不一样。

组合方式二：先把授权层摆正

以插件化运行时作为执行与授权底座，架构更干净、授权边界更容易审计，但上手更慢，且要接受预览版的不稳定。两条路线可以先后衔接：先跑起来，再把执行层逐步换过去。

日常办公与定时简报

如果目标只是每天收一份简报、生成文档、往群里推送消息，商用工作台已经够用，另外搭一套常驻系统的投入很难收回。

要盯外部变化

如果希望新邮件一到就有反应、让软件自己安排复查时间，就需要引入常驻触发层，并把交付工作继续留给现成平台。

要碰真实账号与钱

如果软件要发真实邮件、改真实日程，架构上必须先有独立授权层。本章末尾的五条验收指标没有全部通过之前，本报告不建议进入这一阶段。

先把时间触发和事件触发跑通，这一步不接任何对外动作。

配置变化比对、去重和通知预算，并确认检查失败时会明确报错。

允许软件自己提议下次何时复查，但由调度器限定上下界。这一步才从第二级进入第三级。

先给长期目标写明完成标准，再按「只读 → 起草 → 带外批准 → 放行」的顺序逐步交出权限。

目前不少产品靠一句提示词提醒软件「没变化别发消息」。更稳妥的做法是把它写成系统规则：同一件事多久最多提醒一次、夜里不打扰、没有新情况就明确记下「无需通知」。

人不在电脑前，任务会一直停在等待确认；为了让它跑下去，设计者又常常把审批整个关掉。给每次请示一个有限窗口，超时按不同意处理，两头都能收住。

跨天推进的事情应当事先写清「什么算做完」，完成时还要拿得出证据。已有开源项目把这条做成了核心机制，值得成为这类产品的通用配置。

用户应当能列出软件做过和打算做的每一件事，并能一键叫停。第三方报道里那种用户毫无察觉的后台建档，本该在界面上就留下记录。

负责观察外部变化的脚本长期运行，默认还带着主程序的完整权限。它应当和主程序接受同等隔离，并保留一个能一键关闭的开关。

完整形态现在要靠四层拼装，彼此之间没有官方集成协议。触发、目标、授权、执行之间若有统一约定，搭一套可用系统的成本会明显下降。

厂商原文与公开规格

例如 Meta 发布页对产品行为的描述、官方文档写明的触发规则、模型官方给出的显存要求。这类内容可以直接查证。

索引站、社区文档与媒体

这类材料能提供线索，但本报告没有拿到对应的一手页面。凡是引用它们，正文都会明确标出，读者不宜当成厂商承诺。

本报告自己的判断

分级框架、机制归纳、方案比较都属于这一类。它们由本报告整理，用来帮助读者理解材料；厂商文档里查不到这套分级。

厂商一手材料

Meta Newsroom 的 Muse 发布页与后续模型公告、Muse Security 的安全架构文章、Meta 开发者文档；WorkBuddy 官方产品文档与腾讯云产品文档；OpenAI 的 Pulse 上线公告。

开源项目官方材料

OpenClaw、Hermes Agent、OpenMuse、DeepSeek Harness、nearai/ironclaw、QwenPaw 等项目的官方仓库说明与文档；DeepSeek Harness 的 SAFETY.md 与架构文档。

学术论文与研究工件

CaMeL 团队发表于 2026 年 SaTML 会议的提示注入防御论文及其公开代码仓库；Muse Glimmer 30B 的模型卡。

新闻与第三方核对

The Register 对客户端漏洞的报道、Futurism 对幻觉通知的报道，以及若干索引站与中文媒体对产品细节的转述。这部分内容在正文中均按二手处理。

目前还做不到的

• 「连服务厂商自己都看不到用户数据」的机密计算，Meta 也还写在后续计划里。
• 与支付绑定、限定金额与时限的一次性付款凭证，属于专有商业能力，开源组合里没有等价物。
• 大厂规模的内部试用、攻击演练和公开赏金验证，个人或小团队很难复现。

本报告没有查到的

• 厂商没有公布主动消息的误报率、真实任务成功率与留存数据，也没有公布「多久允许发一条」的具体门槛。
• 小模型在 8 GB 显存、长上下文条件下的真实速度，本报告没有实测。
• 各组件拼起来之后的端到端延迟与成本、某些插件是否为官方组件、以及不同地区版本的功能差异，公开资料都未给出答案。